Princip zodpovědnosti

Základní povinnosti správců a zpracovatelů osobních údajů určuje nově zavedený princip zodpovědnosti.

Každý správce a zpracovatel osobních údajů bez ohledu na velikost a počet zaměstnanců je povinen zavést organizační, technická a procesní opatření za účelem prokázání souladu s principy GDPR.

Doložitelnost

GDPR zavádí celou řadu nových pravidel. Platnost a dodržování všech pravidel musí každý správce i zpracovatel osobních údajů prokazatelně doložit po celou dobu, kdy data zpracovává.

Přístup subjektu údajů

Povinností správce je subjektu údajů umožnit přístup k údajům, které jsou o něm shromažďovány. Nově má subjekt údajů právo na výmaz a právo být zapomenut. Každá osoba tak může požadovat, aby byly její osobní údaje bez zbytečného odkladu vymazány, jestliže neexistuje už právní důvod pro jejich další zpracování.

Oznamovací povinnost

Správce i zpracovatel mají oznamovací povinnost v případě narušení bezpečnosti osobních údajů. Povinností správce je nahlášení úniku či ohrožení zabezpečení osobních dat Úřadu pro ochranu osobních údajů nejpozději do 72 hodin od okamžiku, kdy se o incidentu dozvěděl. Zpracovatel hlásí porušení správci, a to bez zbytečného odkladu.

Jmenování pověřence (DPO)

Jmenovat pověřence je povinné jestliže:

• zpracování provádí orgán veřejné moci či veřejný subjekt
• hlavní činnosti správce či zpracovatele spočívají v operacích zpracování, které vyžadují rozsáhlé pravidelné a systematické monitorování subjektů
• hlavní činnosti správce či zpracovatele spočívají v rozsáhlém zpracování zvláštních kategorií údajů

Není-li zřejmé, že organizace nemusí pověřence jmenovat, měl by správce a zpracovatel interní analýzou doložit, že není nutné pověřence ustavit. Z analýzy musí být zřejmé, že byly zohledněny veškeré důležité faktory. Tato analýza musí být součástí dokumentace pořízené podle zásad odpovědnosti.

I když organizace nemusí jmenovat pověřence ze zákona, může pověřence jmenovat dobrovolně.

Zpracování osobních údajů je zákonné, pokud je splněna alespoň jedna z následujících podmínek:

• subjekt údajů udělil prokazatelný souhlas se zpracováním svých údajů
• zpracování je nezbytné pro plnění smlouvy

Příklad: smluvní vztah se subjektem údajů

• zpracování je nezbytné pro splnění právní povinnosti

Příklad: zákoník práce, zákon o účetnictví

zpracování je nezbytné pro ochranu života

• zpracování je nezbytné pro splnění úkolu prováděného ve veřejném zájmu

Příklad: oblast sociální ochrany, zdravotní bezpečnosti apod.

• zpracování je nezbytné pro splnění opráv
  něných zájmů správců

Příklad: bezpečnostní kamery – oprávněným zájmem správce je zajištění bezpečného prostoru